Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

攻撃者がメール転送設定を変更、受信した個人情報が外部に - 立命館大

立命館大学が主催する国際研修の応募者に関する個人情報が外部に流出した。フィッシングメールによりアカウント情報が奪われ、受信メールが外部に転送されるよう設定が変更されたという。

歴史都市防災研究所が主催する2018年ユネスコチェア国際研修「文化遺産と危機管理」に、海外から応募した264人分の個人情報が外部へ流出したもの。氏名や所属組織の住所、電話番号、生年月日、性別、現職、学歴、職務経験、国籍などが含まれる。

同大によれば、研修への申し込みを受け付けるために用意したメールアカウントにおいて、4月24日に「未読メールが13通残っている」などと記載されたマイクロソフトの通知を装うフィッシングメールを受信。

同研究所の職員が誤ってメールに記載されたURLへアクセスし、誘導先の「Office365」を装ったページよりアカウント情報を入力してしまったという。

攻撃者は奪ったアカウント情報でログインし、同メールアカウントで受信したメールを外部に転送するよう設定を変更。期間中に、応募者の個人情報リストが添付されたメールや、応募者の参加申請書や履歴書などのメールを同アカウントで受信したことから外部へ不正に転送された。

さらに転送されたメールの一部には、参加申請書や履歴書を保管していたクラウドサービスにおける共有フォルダのURLを記載。パスワードなしに共有フォルダへアクセスできる状態だったため、応募者264人のうち、共有フォルダに保存されていた261人分の参加申請書や履歴書についても取得された可能性がある。

今回の問題を受け、同大では関係者に対して、メールで事情を説明し、謝罪を行った。

また問題のアカウントは、今回の研修用に用意したものであり、不正にログインされたものの、転送されたメール以外の情報漏洩はないと同大では説明。ログから不正なログインは1回のみであることも判明しており、スパムメールを送信するための踏み台などに悪用された形跡もなかったとしている。

(Security NEXT - 2018/05/18 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

CAD製品のユーザー登録サイトに不正アクセス - エーアンドエー
会員約24万件のアカウント情報が外部データと一致 - プレミアム・アウトレット
「プレミアム・アウトレット」の一部メルマガ会員情報が流出か - 使い回しパスワードに注意を
クーポンサイトでアカウントを重複発行 - ソースネクスト
教員の私用メールアカウントに不正アクセス、情報流出の可能性 - 滋賀県立大
モニター募集フォームで個人情報表示される設定ミス - 神奈川芸術劇場
東京海上日動子会社の代理店に不正アクセス - メールボックス内の個人情報などが流出
「ディノスオンラインショップ」に不正ログイン - 情報改ざんや不正注文が発生
システム管理者アカウントが奪われ、個人情報約7万件が流出 - 阪大
従業員メールアカウントに不正アクセス、顧客情報を閲覧か - 四国スバル